Sex veikleikar hafa fundist í stýrikerfinu RouterOS sem notað er í MikroTik leiðum. Samsetning tveggja þessara veikleika gerir fjarlægum árásarmönnum kleift að fá fulla stjórn á tæki með stjórnunarréttindum, að því gefnu að það sé aðgengilegt í gegnum SSH. Misnotkun þessara veikleika hefur verið skjalfest. Uppfærslur fyrir Mikrotik hafa verið tiltækar frá 3. september (RouterOS 7.25 beta 3, 7.24.2, 7.23.4, 6.49.21) og árásarmennirnir fundu líklega veikleikana með þessum uppfærslum.
Veikleikunum CVE-2026-67276 og CVE-2026-86060 hefur verið úthlutað mikilvægu alvarleikastigi (9.2 af 10). Fyrsta vandamálið stafar af óviðeigandi staðfestingu á RSA opinberum lyklum sem notaðir eru til SSH-auðkenningar. Þekking á notandanafni og færibreytum opinbers lykils gæti árásarmaður búið til falsa lykil og tengst í gegnum SSH án aðgangs að einkalyklinum. Annað vandamálið tengist skorti á síun á ógildum stöfum í upphafi notandanafnsins við vinnslu SSH-innskráninga.
Hægt er að rekja árangursríka nýtingu veikleika með færslum í RouterOS skránni: innskráningarvilla fyrir notanda -2 frá í gegnum ssh notanda bætt við af ssh:-2@
Heimild: opennet.ru
